Complex systems are intrinsically hazardous systems. 复杂系统本质上都是高风险系统。

Complex systems are heavily and successfully defended against failure. 复杂系统都对故障严加防范并且行之有效。

Catastrophe requires multiple failures–single point failures are not enough. 灾难性事故由多起故障共同造成-单点故障不足以兴风作浪。

Complex systems contain changing mixtures of failures latent within them. 复杂系统中潜伏着变化多端的故障组合。

Complex systems run in degraded mode. 复杂系统运转时总是处于降级模式。过去我们常认为系统追求的目标是“应用零异常“，实际上复杂系统很难做到零异常，常常因为外部环境的变化产生新的异常并且触发熔断降级等安全保护策略。针对异常管理而言，零异常的目标应该转变为对外高可用率，对内精细化管理异常，使得已知异常和新增异常得到正确识别并且及时修复可修复的异常。

Catastrophe is always just around the corner. 灾难总是近在咫尺。
实际上这也是分布式软件系统的一大特点，光纤可能被挖断、机器可能故障、电力可能中断、人员可能误操作，几乎无法穷举的故障类型，让系统性故障成为分布式系统的一种潜在特质。

Post-accident attribution accident toa ‘root cause’ is fundamentally wrong. 在事发之后将事故归咎于某一“罪魁祸首”的做法完全不可取。
因此我也不建议在事故评审时将某个行为或做法视作罪魁祸首，应当举一反三地看待问题，也只有这样才能促成组织内各职能的全面提升与产品的全面提升，而非单方面改进。

Hindsight biases post-accident assessments of human performance. 事后成见会扭曲事故评定人员的认知。已知事故结论的情况下，人们（特别是专家）常常假设当事人如果注意到XX现象或者不要这么做就能够避免这次事故或者减小事故影响，这种马后炮行为常常没有客观还原事故真实过程，对事故评定结论产生重大影响。

Human operators have dual roles: asproducers & as defenders against failure. 操作人员分饰二角：他们既是故障的始作俑者，也是故障的防范者。

All practitioner actions are gambles. 当事人的举动完全是在冒险。事故发生之后，人们往往会认为事发之前导致事故的重大故障就已经在所难免，之所以最终会酿成事故，是因为当事人在故障迫近时处理失当或玩忽职守。但实际上，当事人在采取行动时完全是在冒险，他们无法预知自己的行动会导致什么后果。灾后分析通常都不会将这些行为判作明智之举。反过来看：即便处理得当，也不过是瞎猫碰上死老鼠，无法得到广泛认同。

Actions at the sharp end resolve all ambiguity. 风口浪尖上的行为令一切模糊性消失殆尽。各种组织都存在一定的模糊性，而且这种模糊性往往是蓄意造成的，它体现在生产目标、资源使用效率、运作成本，以及对不同程度的潜在事故的容忍度等多个方面。然而在评判那些被抛至风口浪尖的从业人员的行为时，这些模糊性却消失殆尽。发生事故之后，当事人的行为往往会被视为“失误”或“违规”，但这类评判带有严重的事后成见，往往无视业绩压力等其他诱因。

Human practitioners are the adaptable element of complex systems. 从业人员会对复杂系统进行调整。

Human expertise in complex systems is constantly changing. 复杂系统中的专业人才不断更替。

Change introduces new forms of failure. 变化会引入新的故障。

Views of ‘cause’ limit the effectiveness of defenses against future events. 抵御未来事件的效果受限于人们看待“肇因”的方式。

Safety is a characteristic of systems and not of their components. 安全性是系统整体的特性，而不是系统中各部件的特性。

People continuously create safety. 人们持续不断地营造安全的环境。

Failure free operations require experience with failure. 无故障运营需要故障处理相关的经验。